Salesforce Agentforce SalesBleed漏洞

资讯专家

漏洞概况
据 SecurityWeek 报道，Zenity Labs 披露 Salesforce Agentforce 中存在三个漏洞，统称 SalesBleed。相关漏洞可通过 Salesforce 官方的 Web-to-Lead 线索收集表单触发，该表单同时提供进入 CRM 的直接路径。攻击者将恶意指令注入 Web-to-Lead 线索提交后，指令可保持休眠，直到员工要求 Agentforce 代理处理该提交，代理会解析被污染的线索并执行隐藏指令。

利用方式
其中两个漏洞可用于零点击 CRM 数据外泄。根因与 Trusted URLs 安全机制的多处弱点有关，该机制原本用于阻止 Agentforce 显示或向不受信任来源发送 URL、图片。Zenity Labs 发现，Web-to-Lead 表单 payload 可访问 leads 和 accounts 表数据，再借助 HTML image 标签把 CRM 数据零点击外传到攻击者服务器。Agentforce 可能提示内容已被组织安全策略阻止，但敏感 CRM 数据实际上已发送到攻击者控制的服务器。

Trusted URLs 本应阻止 Agentforce 访问并向未批准域名发送数据，但该机制不识别顶级域名，且特殊字符序列可干扰 URL 解析。

第三个漏洞影响 Agentforce-Slack 集成。攻击者可通过同一被污染的 Web-to-Lead 机制，在 Slack 中与 Agentforce 代理交互。Slack 会自动获取链接信息用于预览，特制链接可让 Slack 发起请求，并在链接出现时把 CRM 数据带到攻击者控制的基础设施。此外，Agentforce-Slack 集成可被滥用为社工渠道：代理不校验发送消息的用户身份，攻击者可用恶意 Web-to-Lead 劫持代理，并以代理身份向多个内部 Slack 频道投放钓鱼消息。员工看到的是来自内部可信系统的消息，而不是外部陌生发件人；一旦点击钓鱼链接并提交凭据，攻击者就可能访问邮箱、Slack、源代码仓库以及该身份可访问的其他企业应用。

修复状态
Zenity Labs 于 6 月 1 日报告 SalesBleed 漏洞。Salesforce 确认三个漏洞均已在 8 月 19 日前完成修复。建议使用 Salesforce Agentforce 的企业核查 Web-to-Lead 输入处理、Trusted URLs 配置和 Slack 集成权限，并关注官方修复说明。